本文說明私有雲的 Apigee Edge 部署作業支援的元件監控技術。
總覽
Edge 支援多種取得服務詳細資料及檢查服務狀態的方式。下表列出您可以對各項符合資格的服務執行的檢查類型:
Mgmt API | |||||||
元件 | 記憶體用量 [JMX*] | 服務檢查 | 使用者/機構/ 部署作業狀態 | axstatus | 資料庫檢查 | apigee-service 狀態 |
apigee-monit ** |
管理伺服器 | |||||||
訊息處理器 | |||||||
路由器 | |||||||
Qpid | |||||||
Postgres | |||||||
更多資訊 | 更多資訊 | 更多資訊 | 更多資訊 | 更多資訊 | 更多資訊 | 更多資訊 | |
* 您必須先按照啟用 JMX 中的說明啟用 JMX。 ** |
監控通訊埠和設定檔
每個元件都支援在不同通訊埠上的 Java Management Extensions (JMX) 和 Management API 監控呼叫。下表列出各伺服器類型的 JMX 和 Management API 通訊埠,以及設定檔位置:
元件 | JMX 連接埠 | Management API 通訊埠 | 設定檔位置 |
---|---|---|---|
管理伺服器 | 1099 | 8080 | $APIGEE_ROOT/customer/application/management-server.properties |
訊息處理器 | 1101 | 8082 | $APIGEE_ROOT/customer/application/message-processor.properties |
路由器 | 1100 | 8081 | $APIGEE_ROOT/customer/application/router.properties |
Qpid | 1102 | 8083 | $APIGEE_ROOT/customer/application/qpid-server.properties |
Postgres | 1103 | 8084 | $APIGEE_ROOT/customer/application/postgres-server.properties |
使用 JMX 監控元件
以下各節說明如何使用 JMX 監控 Edge 元件。
啟用 JMX
如要啟用 JMX 但不進行驗證或採用 SSL 型通訊,請執行下列步驟。注意事項:在實際工作環境系統中,為了保障安全,應同時啟用加密驗證和 SSL。
- 編輯適當的設定檔 (請參閱
設定檔參考資料)。建立設定檔 (如果不存在)。
conf_system_jmxremote_enable=true
- 儲存設定檔,並確認該設定檔為
apigee:apigee
所擁有。 - 重新啟動適當的 Edge 元件
apigee-service edge-management-server restart
如要停用 JMX,請移除 conf_system_jmxremote_enable
屬性或將其值改為 false
。然後重新啟動適當的 Edge 元件。
JMX 驗證
Edge for Private Cloud 支援使用儲存在檔案的詳細資料進行密碼驗證。你可以將密碼儲存為雜湊以提升安全性。
- 如要在 Edge-* 元件中啟用 JMX 驗證,請編輯適當的設定檔 (請參閱
設定檔參考資料)。建立設定檔 (如果不存在):
conf_system_jmxremote_enable=true conf_system_jmxremote_authenticate=true conf_system_jmxremote_encrypted_auth=true conf_system_jmxremote_access_file=/opt/apigee/customer/application/management-server/jmxremote.access conf_system_jmxremote_password_file=/opt/apigee/customer/application/management-server/jmxremote.password
儲存設定檔,並確認該檔案為apigee:apigee
所有。 - 建立密碼的 SHA256 雜湊:
echo -n '
' | openssl dgst -sha256 - 建立含有 JMX 使用者憑證的
jmxremote.password
檔案:- 將下列檔案從
$JAVA_HOME
目錄複製到/opt/apigee/customer/application/<component>/
目錄:cp ${JAVA_HOME}/lib/management/jmxremote.password.template $APIGEE_ROOT/customer/application/management-server/jmxremote.password
- 編輯檔案,並使用下列語法新增 JMX 使用者名稱和密碼:
USERNAME <HASH-PASSWORD>
- 確認檔案為
apigee
所擁有,且檔案模式為 400:chown apigee:apigee $APIGEE_ROOT/customer/application/management-server/jmxremote.password chmod 400 $APIGEE_ROOT/customer/application/management-server/jmxremote.password
- 將下列檔案從
- 建立具備 JMX 使用者權限的
jmxremote.access
檔案:- 將下列檔案從「$JAVA_HOME」目錄複製到
/opt/apigee/customer/application/<component>/
目錄cp ${JAVA_HOME}/lib/management/jmxremote.access$APIGEE_ROOT/customer/application/management-server/jmxremote.password/jmxremote.access
- 編輯檔案,然後新增 JMX 使用者名稱,然後輸入所需權限 (READONLY/READWRITE)
USERNAME READONLY
- 確認檔案為
apigee
所擁有,且檔案模式為 400:chown apigee:apigee $APIGEE_ROOT/customer/application/management-server/jmxremote.password chmod 400 $APIGEE_ROOT/customer/application/management-server/jmxremote.access
- 將下列檔案從「$JAVA_HOME」目錄複製到
- 重新啟動適當的 Edge 元件:
apigee-service edge-management-server restart
如要停用 JMX 驗證,請移除 conf_system_jmxremote_authenticate
屬性或將值變更為 false
,然後重新啟動適當的 Edge 元件。
JMX 中的 SSL
如何在 Edge-* 元件中啟用 SSL 式 JMX:
- 編輯適當的設定檔 (請參閱
設定檔參考資料)。建立設定檔 (如果不存在):
conf_system_jmxremote_enable=true conf_system_jmxremote_ssl=true conf_system_javax_net_ssl_keystore=/opt/apigee/customer/application/management-server/jmxremote.keystore conf_system_javax_net_ssl_keystorepassword=<keystore-password>
儲存設定檔,並確認檔案為apigee:apigee
所有。 - 準備含有伺服器金鑰的 KeyStore,並將其置於上方
conf_system_javax_net_ssl_keystore
設定中提供的路徑。確保apigee:apigee
可讀取 KeyStore 檔案。 - 重新啟動適當的 Edge 元件:
apigee-service edge-management-server restart
如要停用 SSL 型 JMX,請移除 conf_system_jmxremote_ssl
屬性或將值變更為 false
。重新啟動適當的 Edge 元件。
透過 Jconsole 進行監控
透過 jconsole 提供的監控操作說明仍與 https://docs.apigee.com/private-cloud/v4.52.01/how-monitor#jconsole 中所述。
可加入以下一行程式碼:「如果 JMX 已啟用 SSL,則需要使用 Truststore 和 Truststore 密碼啟動 jconsole。」參考資料:https://docs.oracle.com/javase/8/docs/technotes/guides/management/jconsole.html使用 JConsole 監控
使用 JConsole (符合 JMX 規定的工具) 來管理和監控健康狀態檢查和處理統計資料。透過 JConsole,您可以使用伺服器公開的 JMX 統計資料,並在圖形介面中顯示這些資料。詳情請參閱「使用 JConsole」。
如果在 JMX 已啟用安全資料傳輸層 (SSL),需要使用 Truststore 和信任儲存庫密碼啟動 JConsole。請參閱「 使用 JConsole」一文。
JConsole 會使用下列服務網址,監控透過 JMX 提供的 JMX 屬性 (MBeans):
service:jmx:rmi:///jndi/rmi://IP_address:port_number/jmxrmi
在此情況下:
- IP_address 是您要監控的伺服器 IP 位址。
- port_number 是您要監控的伺服器 JMX 通訊埠編號。
舉例來說,如要監控管理伺服器,請發出類似下列的指令 (假設伺服器的 IP 位址為 216.3.128.12):
service:jmx:rmi:///jndi/rmi://216.3.128.12:1099/jmxrmi
請注意,這個範例會指定通訊埠 1099,也就是 Management Server JMX 通訊埠。針對其他通訊埠,請參閱 JMX 和 Management API 監控通訊埠。
下表列出一般 JMX 統計資料:
JMX MBeans | JMX 屬性 |
---|---|
記憶體容量 |
HeapMemoryUsage |
NonHeapMemoryUsage |
|
使用方式 |
|
設定檔參考資料
以下各節說明您可能需要針對 JMX 相關設定變更 Edge 元件設定檔。詳情請參閱「監控通訊埠和設定檔」。
將 JMX 設定新增至適當元件的設定檔
- 在邊緣元件上啟用 JMX 代理程式。預設為 False。
conf_system_jmxremote_enable=true
密碼驗證設定
- 啟用密碼驗證。預設為 False。
conf_system_jmxremote_authenticate=true
- 存取檔案的路徑。只能由 Apigee 使用者擁有及讀取。
conf_system_jmxremote_access_file=/opt/apigee/customer/application/management-server/jmxremote.access
- 密碼檔案路徑。只能由 Apigee 使用者擁有及讀取。
conf_system_jmxremote_password_file=/opt/apigee/customer/application/management-server/jmxremote.password
- 允許以加密格式儲存密碼。預設為 False。
conf_system_jmxremote_encrypted_auth=true
SSL 型 JMX 設定
- 為 JMX 通訊啟用 SSL。預設為 False。
conf_system_jmxremote_ssl=true
- KeyStore 的路徑。只能由 Apigee 使用者擁有及讀取。
conf_system_javax_net_ssl_keystore=/opt/apigee/customer/application/management-server/jmxremote.keystore
- KeyStore 密碼:
conf_system_javax_net_ssl_keystorepassword=changeme
選用 JMX 設定
系統列出的值為預設值,可加以變更。
- JMX 連接埠。下表列出預設值。
conf_system_jmxremote_port=
- JMX RMI 連接埠。根據預設,Java 程序會隨機挑選通訊埠。
conf_system_jmxremote_rmi_port=
- 遠端虛設常式的主機名稱。localhost 的預設 IP 位址。
conf_system_java_rmi_server_hostname=
- 使用 SSL 保護 JMX 登錄。預設值為 False。只有在已啟用 SSL 的情況下才能使用。
conf_system_jmxremote_registry_ssl=false
使用 Management API 監控
Edge 提供多個 API,可用來在伺服器上執行服務檢查,以及檢查使用者、機構和部署作業。本節將說明這些 API。
執行服務檢查
Management API 提供多個端點,可用於監控及診斷服務的問題。這些端點包括:
端點 | 說明 |
---|---|
/servers/self/up |
檢查服務是否正在執行。這項 API 呼叫不需要您進行驗證。 如果服務正在執行中,這個端點會傳回下列回應: <ServerField> <Up>true</Up> </ServerField> 如果服務未執行,您會收到類似以下的回應 (視服務提供的服務和檢查方式而定): curl: Failed connect to localhost:port_number; Connection refused |
/servers/self |
傳回服務的相關資訊,包括:
這項 API 呼叫會要求您使用 Apigee 管理員憑證進行驗證。 |
如要使用這些端點,請透過使用下列語法的指令叫用公用程式 (例如 curl
):
curl http://host:port_number/v1/servers/self/up -H "Accept: [application/json|application/xml]"
curl http://host:port_number/v1/servers/self -u username:password -H "Accept: [application/json|application/xml]"
在此情況下:
- host 是您要檢查的伺服器 IP 位址。如果您已登入伺服器,您可以使用「localhost」;否則,請指定伺服器的 IP 位址,以及使用者名稱和密碼。
- port_number 是您要檢查的伺服器的 Management API 通訊埠。每個元件類型都有不同的通訊埠。例如 Management Server 的 Management API 通訊埠為 8080。如需要使用的 Management API 通訊埠編號清單,請參閱 JMX and Management API 監控通訊埠
如要變更回應格式,可以將 Accept
標頭指定為「application/json」或「application/xml」。
以下範例會取得 localhost (通訊埠 8081) 上的路由器狀態:
curl http://localhost:8081/v1/servers/self/up -H "Accept: application/xml"
以下範例會取得位於 216.3.128.12 (通訊埠 8082) 的訊息處理器相關資訊:
curl http://216.3.128.12:8082/v1/servers/self -u sysAdminEmail:password -H "Accept: application/xml"
監控使用者、機構及部署狀態
您可以使用 Management API 發出以下指令,監控管理伺服器和訊息處理者 Proxy 的使用者、機構及部署狀態:
curl http://host:port_number/v1/users -u sysAdminEmail:passwordcurl http://host:port_number/v1/organizations -u sysAdminEmail:password
curl http://host:port_number/v1/organizations/orgname/deployments -u sysAdminEmail:password
其中 port_number 為管理伺服器的 8080,或訊息處理器的 8082。
這項呼叫要求您使用系統管理使用者名稱和密碼進行驗證。
伺服器應針對所有呼叫傳回「已部署」狀態。如果失敗,請執行下列步驟:
- 查看伺服器記錄中是否有任何錯誤。記錄檔位於:
- 管理伺服器:
opt/apigee/var/log/edge-management-server
- 訊息處理器:
opt/apigee/var/log/edge-message-processor
- 管理伺服器:
- 接著對伺服器發出呼叫,確認伺服器是否正常運作。
- 從 ELB 中移除伺服器,然後重新啟動:
/opt/apigee/apigee-service/bin/apigee-service service_name restart
其中 service_name 為:
edge-management-server
edge-message-processor
使用 apigee-service
指令查看狀態
當您登入執行該服務的伺服器時,可以使用 apigee-service
指令排解 Edge 服務問題。
如要透過 apigee-service
查看服務的狀態,請按照下列步驟操作:
- 登入伺服器並執行下列指令:
/opt/apigee/apigee-service/bin/apigee-service service_name status
其中 service_name 是下列其中一項:
- 管理伺服器:
edge-management-server
- 訊息處理器:
edge-message-processor
- Postgres:
edge-postgres-server
- Qpid:
edge-qpid-server
- 路由器:
edge-router
例如:
/opt/apigee/apigee-service/bin/apigee-service edge-message-processor status
- 管理伺服器:
- 如果服務並未執行,請啟動服務:
/opt/apigee/apigee-service/bin/apigee-service service_name start
- 重新啟動服務後,使用先前使用的
apigee-service status
指令,或使用使用 Management API 監控的 Management API,確認服務是否正常運作。例如:
curl -v http://localhost:port_number/v1/servers/self/up
其中 port_number 是服務的 Management API 通訊埠。
這個範例假設您已登入伺服器,且可以使用「localhost」做為主機名稱。如要使用 Management API 從遠端檢查狀態,您必須指定伺服器的 IP 位址,並在 API 呼叫中加入系統管理員的使用者名稱和密碼。
Postgres 監控
Postgres 支援多種公用程式,方便您查看其狀態。我們會在後續章節中說明這些公用程式。
查看 Postgres 上的機構和環境
您可以發出下列 curl
指令,檢查是否有已加入 Postgres 伺服器的機構和環境名稱:
curl -v http://postgres_IP:8084/v1/servers/self/organizations
系統應會顯示機構和環境名稱。
確認數據分析狀態
您可以發出下列 curl
指令,驗證 Postgres 和 Qpid 分析伺服器的狀態:
curl -u userEmail:password http://host:port_number/v1/organizations/orgname/environments/envname/provisioning/axstatus
系統應會顯示所有分析伺服器的成功狀態,如以下範例所示:
{ "environments" : [ { "components" : [ { "message" : "success at Thu Feb 28 10:27:38 CET 2013", "name" : "pg", "status" : "SUCCESS", "uuid" : "[c678d16c-7990-4a5a-ae19-a99f925fcb93]" }, { "message" : "success at Thu Feb 28 10:29:03 CET 2013", "name" : "qs", "status" : "SUCCESS", "uuid" : "[ee9f0db7-a9d3-4d21-96c5-1a15b0bf0adf]" } ], "message" : "", "name" : "prod" } ], "organization" : "acme", "status" : "SUCCESS" }
PostgreSQL 資料庫
本節說明您專門用於監控 Postgres 資料庫的技術。
使用 check_postgres.pl
指令碼
如要監控 PostgreSQL 資料庫,您可以使用標準監控指令碼 check_postgres.pl
。詳情請參閱 http://bucardo.org/wiki/Check_postgres。
執行指令碼之前:
- 您必須在每個 Postgres 節點上安裝 check_postgres.pl 指令碼。
- 確認您已安裝
perl-Time-HiRes.x86_64
,這個 Perl 模組可以實作高解析度鬧鐘、睡眠、gettimeofday 和間隔計時器。舉例來說,您可以使用下列指令進行安裝:
yum install perl-Time-HiRes.x86_64
- CentOS 7:在 CentOS v7 上使用 check_postgres.pl 之前,請安裝
perl-Data-Dumper.x86_64
RPM。
check_postgres.pl 輸出內容
使用 check_postgres.pl
的 API 呼叫預設輸出方式與 Nagios 相容。安裝指令碼後,請執行下列檢查:
- 檢查資料庫大小:
check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -include=apigee -action database_size --warning='800 GB' --critical='900 GB'
- 請檢查資料庫的連入連線數量,並與允許的連線數量上限進行比較:
check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action backends
- 檢查資料庫是否正在執行且可供使用:
check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action connection
- 檢查磁碟空間:
check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action disk_space --warning='80%' --critical='90%'
- 檢查要在 Postgres 節點中新增的機構和環境數量:
check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action=custom_query --query="select count(*) as result from pg_tables where schemaname='analytics' and tablename like '%fact'" --warning='80' --critical='90' --valtype=integer
執行資料庫檢查
您可以驗證是否在 PostgreSQL 資料庫中建立正確的資料表。使用下列指令登入 PostgreSQL 資料庫:
psql -h /opt/apigee/var/run/apigee-postgresql/ -U apigee -d apigee
接著執行:
\d analytics."org.env.fact"
查看 Postgres 程序的健康狀態
您可以叫用下列 curl
指令,在 Postgres 機器上執行 API 檢查:
curl -v http://postgres_IP:8084/v1/servers/self/health
這個指令會在 postgres 程序啟用時傳回 ACTIVE
狀態。如果 Postgres 程序未啟動並執行,會傳回 INACTIVE
狀態。
Postgres 資源
如要進一步瞭解如何監控 Postgres 服務,請參閱下列資源:
- http://www.postgresql.org/docs/9.0/static/monitoring.html
- http://www.postgresql.org/docs/9.0/static/diskusage.html
- http://bucardo.org/check_postgres/check_postgres.pl.html
Apache Cassandra
根據預設,系統會啟用 JMX,以讓 Cassandra 或遠端 JMX 存取 Cassandra,不需要輸入密碼。
啟用 Cassandra 的 JMX 驗證
您可以為 Cassandra 啟用 JMX 驗證。執行此操作後,系統會要求您將使用者名稱和密碼傳送給所有對 nodetool 公用程式的呼叫。
如何為 Cassandra 啟用 JMX 驗證:
- 建立及編輯
cassandra.properties
檔案:- 編輯
/opt/apigee/customer/application/cassandra.properties
檔案。如果檔案不存在,請建立檔案。 - 在檔案中新增以下內容:
conf_cassandra_env_com.sun.management.jmxremote.authenticate=true conf_cassandra_env_com.sun.management.jmxremote.password.file=${APIGEE_ROOT}/customer/application/apigee-cassandra/jmxremote.password conf_cassandra_env_com.sun.management.jmxremote.access.file=${APIGEE_ROOT}/customer/application/apigee-cassandra/jmxremote.access
- 儲存
cassandra.properties
檔案。 - 將檔案擁有者變更為
apigee:apigee
,如以下範例所示:chown apigee:apigee /opt/apigee/customer/application/cassandra.properties
如要進一步瞭解如何使用屬性檔案設定權杖,請參閱「如何設定 Edge」一文。
- 編輯
- 建立及編輯「
jmx_auth.sh
」:- 如果檔案不存在,請在下列位置建立檔案:
/opt/apigee/customer/application/jmx_auth.sh
- 在檔案中新增下列屬性:
export CASS_JMX_USERNAME=JMX_USERNAME export CASS_JMX_PASSWORD=JMX_PASSWORD
- 儲存
jmx_auth.sh
檔案。 - 取得檔案來源:
source /opt/apigee/customer/application/jmx_auth.sh
- 如果檔案不存在,請在下列位置建立檔案:
- 複製並編輯
jmxremote.password
檔案:- 將下列檔案從
$JAVA_HOME
目錄複製到/opt/apigee/customer/application/apigee-cassandra/
:cp ${JAVA_HOME}/lib/management/jmxremote.password.template $APIGEE_ROOT/customer/application/apigee-cassandra/jmxremote.password
- 編輯
jmxremote.password
檔案,並使用以下語法新增 JMX 使用者名稱和密碼:JMX_USERNAME JMX_PASSWORD
其中 JMX_USERNAME 和 JMX_PASSWORD 是您之前設定的 JMX 使用者名稱和密碼。
- 確認檔案由「apigee」擁有,且檔案模式為 400:
chown apigee:apigee /opt/apigee/customer/application/apigee-cassandra/jmxremote.password
chmod 400 /opt/apigee/customer/application/apigee-cassandra/jmxremote.password
- 將下列檔案從
- 複製並編輯
jmxremote.access
檔案:- 將下列檔案從
$JAVA_HOME
目錄複製到/opt/apigee/customer/application/apigee-cassandra/
:cp ${JAVA_HOME}/lib/management/jmxremote.access
$APIGEE_ROOT/customer/application/apigee-cassandra/jmxremote.access
- 編輯
jmxremote.access
檔案,並新增下列角色:JMX_USERNAME readwrite
- 確認檔案由「apigee」擁有,且檔案模式為 400:
chown apigee:apigee /opt/apigee/customer/application/apigee-cassandra/jmxremote.access
chmod 400 /opt/apigee/customer/application/apigee-cassandra/jmxremote.access
- 將下列檔案從
- 在 Cassandra 上執行
configure
:/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
- 重新啟動 Cassandra:
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
- 對所有其他 Cassandra 節點重複執行這項程序。
啟用 JMX 密碼加密功能
如要啟用 JMX 密碼加密功能,請按照下列步驟操作:
- 開啟
source/conf/casssandra-env.sh
檔案。 - 建立及編輯
cassandra.properties
檔案:- 編輯
/opt/apigee/customer/application/cassandra.properties
檔案。如果檔案不存在,請建立檔案。 - 在檔案中新增以下內容:
conf_cassandra_env_com.sun.management.jmxremote.encrypted.authenticate=true
- 儲存 cassandra.properties 檔案。
- 將檔案擁有者變更為 apigee:apigee,如以下範例所示:
chown apigee:apigee /opt/apigee/customer/application/cassandra.properties
- 編輯
- 在指令列中輸入
echo -n 'Secret' | openssl dgst -sha1
,產生所需密碼的 SHA1 雜湊 - 根據
$APIGEE_ROOT/customer/application/apigee-cassandra/jmxremote.password
中的使用者名稱 (於上一節建立) 設定密碼。 - 在 Cassandra 上執行設定:
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
- 重新啟動 Cassandra:
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
- 對所有其他 Cassandra 節點重複執行這項程序。
在 Cassandra 上啟用含有 SSL 的 JMX
啟用搭配 SSL 的 JMX 會針對與 Cassandra 之間的 JMX 通訊,提供額外的安全保障和加密機制。如要啟用具備 SSL 的 JMX,您需要向 Cassandra 提供金鑰和憑證,才能接受 SSL 型 JMX 連線。您還需要設定 nodetool (以及任何其他透過 JMX 與 JMX 通訊的工具) 進行安全資料傳輸層 (SSL)。
已啟用 SSL 的 JMX 支援純文字和加密的 JMX 密碼。
如要為 Cassandra 啟用 JMX,請按照下列程序操作:
- 啟用 JMX。 視需要啟用密碼加密功能。
- 啟用 Cassandra 的 JMX 驗證。。確保 nodetool 正在使用設定的使用者名稱和密碼。
/opt/apigee/apigee-cassandra/bin/nodetool -u <JMX_USER> -pw <JMX_PASS> ring
準備 KeyStore 和信任儲存庫。
KeyStore 應包含金鑰和憑證,且可用來設定 Cassandra 伺服器。如果 KeyStore 包含多個金鑰組,Cassandra 會使用第一個金鑰組啟用安全資料傳輸層。
請注意,KeyStore 和金鑰的密碼應相同 (使用 Keytool 產生金鑰時的預設名稱)。
- Truststore 只能包含憑證,且用戶端 (apigee-service 型指令或 nodetool) 會透過 JMX 進行連線。
確認上述規定後:
- 將 KeyStore 檔案放入
/opt/apigee/customer/application/apigee-cassandra/
。 - 輸入
chown apigee:apigee /opt/apigee/customer/application/apigee-cassandra/keystore.node1
,確保 Apigee 使用者只能讀取 KeyStore 檔案chmod 400 /opt/apigee/customer/application/apigee-cassandra/keystore.node1
- 按照下列步驟,為採用安全資料傳輸層 (SSL) 的 JMX 設定 Cassandra:
- 輸入
apigee-service apigee-cassandra stop
以停止 Cassandra 節點 - 開啟
/opt/apigee/customer/application/cassandra.properties
檔案並新增下列幾行內容,即可在 Cassandra 中啟用安全資料傳輸層 (SSL):conf_cassandra_env_com.sun.management.jmxremote.ssl=true conf_cassandra_env_javax.net.ssl.keyStore=/opt/apigee/customer/application/apigee-cassandra/keystore.node1 conf_cassandra_env_javax.net.ssl.keyStorePassword=keystore-password
- 將檔案擁有者變更為 apigee:apigee,如以下範例所示:
chown apigee:apigee /opt/apigee/customer/application/cassandra.properties
- 在 Cassandra 上執行設定:
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
- 重新啟動 Cassandra:
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
- 對所有其他 Cassandra 節點重複執行這項程序。
- 輸入
apigee-service apigee-cassandra start
來啟動 Cassandra 節點
- 輸入
- 設定
apigee-service
Cassandra 指令。您必須在執行apigee-service
指令時設定某些環境變數,包括下列變數:apigee-service apigee-cassandra stop apigee-service apigee-cassandra wait_for_ready apigee-service apigee-cassandra ring apigee-service apigee-cassandra backup
您可以透過幾種方式為 JMX 驗證和安全資料傳輸層 (SSL) 設定
apigee-service
。請依據可用性和安全性做法選擇適合的選項。選項 1 (儲存在檔案中的 SSL 引數)
設定下列環境變數:
export CASS_JMX_USERNAME=ADMIN # Provide encrypted password here if you have setup JMX password encryption export CASS_JMX_PASSWORD=PASSWORD export CASS_JMX_SSL=Y
在 Apigee 使用者的主目錄 (
/opt/apigee
) 中建立檔案。$HOME/.cassandra/nodetool-ssl.properties
編輯該檔案,並新增下列幾行內容:
-Djavax.net.ssl.trustStore=<path-to-truststore.node1> -Djavax.net.ssl.trustStorePassword=<truststore-password> -Dcom.sun.management.jmxremote.registry.ssl=true
請確認 Apigee 使用者可讀取信任檔案。
執行下列
apigee-service
指令。 如果執行時未發生錯誤,則表示您的設定正確無誤。apigee-service apigee-cassandra ring
選項 2 (儲存在環境變數中的 SSL 引數)
設定下列環境變數:
export CASS_JMX_USERNAME=ADMIN # Provide encrypted password here if you have setup JMX password encryption export CASS_JMX_PASSWORD=PASSWORD export CASS_JMX_SSL=Y # Ensure the truststore file is accessible by Apigee user. export CASS_JMX_TRUSTSTORE=<path-to-trustore.node1> export CASS_JMX_TRUSTSTORE_PASSWORD=<truststore-password>
執行下列
apigee-service
指令。如果執行時未發生錯誤,則表示您的設定正確無誤。apigee-service apigee-cassandra ring
選項 3 (直接傳遞至
apigee-service
的 SSL 引數)執行下列任一
apigee-service
指令。 您不需要設定任何環境變數。CASS_JMX_USERNAME=ADMIN CASS_JMX_PASSWORD=PASSWORD CASS_JMX_SSL=Y CASS_JMX_TRUSTSTORE=<path-to-trustore.node1> CASS_JMX_TRUSTSTORE_PASSWORD=<trustore-password> /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra ring
設定 nodetool。Nodetool 需要將 JMX 參數傳遞至 Nodetool。您可以透過以下兩種設定選項將 nodetool 設為在已啟用 SSL 的 JMX 中執行,如以下的設定選項所述:
選項的差異在於 SSL 相關設定傳送至 nodetool 的方式。在這兩種情況下,執行 nodetool 的使用者都應擁有信任儲存庫檔案的 READ 權限。請根據可用性和安全性做法選擇合適的選項。
如要進一步瞭解 nodetool 參數,請參閱 DataStax 說明文件。
設定選項 1
在執行 nodetool 的使用者主目錄中建立檔案。
$HOME/.cassandra/nodetool-ssl.properties
在檔案中新增下列幾行內容:
-Djavax.net.ssl.trustStore=<path-to-truststore.node1> -Djavax.net.ssl.trustStorePassword=<truststore-password> -Dcom.sun.management.jmxremote.registry.ssl=true
任何執行 nodetool 的使用者都必須存取上方指定的信任儲存庫路徑。
使用
--ssl
選項執行nodetool
。/opt/apigee/apigee-cassandra/bin/nodetool --ssl -u <jmx-user-name> -pw <jmx-user-password> -h localhost ring
設定選項 2
使用以下列出的額外參數做為單一指令執行
nodetool
。/opt/apigee/apigee-cassandra/bin/nodetool -Djavax.net.ssl.trustStore=<path-to-truststore.node1> -Djavax.net.ssl.trustStorePassword=<truststore-password> -Dcom.sun.management.jmxremote.registry.ssl=true -Dssl.enable=true -u <jmx-user-name> -pw <jmx-user-password> -h localhost ring
還原 SSL 設定
如要還原上述程序所述的 SSL 設定,請按照下列步驟操作:
- 輸入
apigee-service apigee-cassandra stop
即可停止apigee-cassandra
- 從檔案
/opt/apigee/customer/application/cassandra.properties
中移除conf_cassandra-env_com.sun.management.jmxremote.ssl=true
這一行。 - 為
/opt/apigee/apigee-cassandra/source/conf/cassandra-env.sh
# JVM_OPTS="$JVM_OPTS -Djavax.net.ssl.keyStore=/opt/apigee/data/apigee-cassandra/keystore.node0" # JVM_OPTS="$JVM_OPTS -Djavax.net.ssl.keyStorePassword=keypass" # JVM_OPTS="$JVM_OPTS -Dcom.sun.management.jmxremote.registry.ssl=true”
中的下列幾行加註 - 請輸入「
apigee-cassandra
」即可開始 - 移除環境變數
CASS_JMX_SSL
(如已設定)。unset CASS_JMX_SSL
- 檢查
apigee-service
型指令 (例如ring
、stop
、backup
等) 是否正常運作。 - 停止將
--ssl
切換按鈕與 nodetool 搭配使用
apigee-service apigee-cassandra start
停用 Cassandra 的 JMX 驗證
如要停用 Cassandra 的 JMX 驗證:
- 編輯
/opt/apigee/customer/application/cassandra.properties
。 - 在檔案中移除下列程式碼:
conf_cassandra-env_com.sun.management.jmxremote.authenticate=true
- 在 Cassandra 上執行設定:
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
- 重新啟動 Cassandra:
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
- 對所有其他 Cassandra 節點重複執行這項程序。
使用 JConsole:監控工作統計資料
使用 JConsole 和下列服務網址,監控透過 JMX 提供的 JMX 屬性 (MBeans):
service:jmx:rmi:///jndi/rmi://IP_address:7199/jmxrmi
其中 IP_address 是 Cassandra 伺服器的 IP。
Cassandra JMX 統計資料
JMX MBeans | JMX 屬性 |
---|---|
ColumnFamilies/apprepo/environments ColumnFamilies/apprepo/organizations 資料欄 Families/apprepo/apiproxy_revisions ColumnFamilies/apprepo/apiproxies 資料欄系列/稽核/稽核 ColumnFamilies/audit/audits_ref |
PendingTasks |
MemtableColumnsCount |
|
MemtableDataSize |
|
ReadCount |
|
RecentReadLatencyMicros |
|
TotalReadLatencyMicros |
|
WriteCount |
|
RecentWriteLatencyMicros |
|
TotalWriteLatencyMicros |
|
TotalDiskSpaceUsed |
|
LiveDiskSpaceUsed |
|
LiveSSTableCount |
|
BloomFilterFalsePositives |
|
RecentBloomFilterFalseRatio |
|
BloomFilterFalseRatio |
使用 nodetool 管理叢集節點
Nodetool 公用程式是 Cassandra 的指令列介面,用於管理叢集節點。您可以在 /opt/apigee/apigee-cassandra/bin
找到該公用程式。
所有 Cassandra 叢集節點上皆可進行下列呼叫:
- 一般鈴聲資訊 (也適用於單一 Cassandra 節點):查看所有節點的「向上」和「一般」。
nodetool [-u username -pw password] -h localhost ring
只有在為 Cassandra 啟用 JMX 驗證時,才需要傳送使用者名稱和密碼。
上述指令的輸出內容如下所示:
Datacenter: dc-1 ========== Address Rack Status State Load Owns Token 192.168.124.201 ra1 Up Normal 1.67 MB 33,33% 0 192.168.124.202 ra1 Up Normal 1.68 MB 33,33% 5671...5242 192.168.124.203 ra1 Up Normal 1.67 MB 33,33% 1134...0484
- 節點一般資訊 (每個節點呼叫)
nodetool [-u username -pw password] -h localhost info
上述指令的輸出內容如下所示:
ID : e2e42793-4242-4e82-bcf0-oicu812 Gossip active : true Thrift active : true Native Transport active: true Load : 273.71 KB Generation No : 1234567890 Uptime (seconds) : 687194 Heap Memory (MB) : 314.62 / 3680.00 Off Heap Memory (MB) : 0.14 Data Center : dc-1 Rack : ra-1 Exceptions : 0 Key Cache : entries 150, size 13.52 KB, capacity 100 MB, 1520781 hits, 1520923 requests, 1.000 recent hit rate, 14400 save period in seconds Row Cache : entries 0, size 0 bytes, capacity 0 bytes, 0 hits, 0 requests, NaN recent hit rate, 0 save period in seconds Counter Cache : entries 0, size 0 bytes, capacity 50 MB, 0 hits, 0 requests, NaN recent hit rate, 7200 save period in seconds Token : 0
- 驗證伺服器狀態 (提供服務的用戶端 API)
nodetool [-u username -pw password] -h localhost statusthrift
上述指令的輸出內容如下所示:
running
- 資料串流作業狀態:觀察 cassandra 節點的流量:
nodetool [-u username -pw password] -h localhost netstats
上述指令的輸出內容如下所示:
Mode: NORMAL Not sending any streams. Read Repair Statistics: Attempted: 151612 Mismatch (Blocking): 0 Mismatch (Background): 0 Pool Name Active Pending Completed Dropped Commands n/a 0 0 0 Responses n/a 0 0 n/a
如要進一步瞭解 nodetool,請參閱「關於 nodetool 公用程式」。
Cassandra 資源
請前往下列網址:http://www.datastax.com/docs/1.0/operations/monitoring。
監控 Apache Qpid 代理程式 J
您可以透過 Qpid 管理主控台監控 Qpid Broker-J。本節說明如何存取控制台,以及如何使用主控台執行基本監控功能。如要進一步瞭解如何使用管理主控台,請參閱 Apache Qpid 說明文件中的 網頁管理主控台。
存取管理控制台
預設的管理控制台通訊埠為 8090。如要透過這個預設通訊埠存取控制台,請將網路瀏覽器指向:
http://QPID_NODE_IP:8090
如要登入控制台,請使用 Apigee 設定的預設憑證,或在 Edge 設定檔中設定的憑證。詳情請參閱邊緣設定檔參考資料。
監控佇列和訊息
在左側導覽面板中,依序前往「Java-Broker」>「 virtualhosts」>「Queues」。選取佇列,在 UI 的主要部分查看其詳細資料。在詳細資料檢視畫面中,您可以查看佇列屬性和統計資料,包括已傳送的訊息、已排入佇列、訊息比率等。
查看及下載記錄檔
在左側導覽面板中,依序前往「Java-Broker」>「brokerloggers」>「logfile」。在主要 UI 詳細資料檢視畫面中,您可以查看記錄檔詳細資料及下載記錄檔。
使用 Qpid Management API
您可以使用 Apache Qpid Broker-J REST API 自動處理管理工作及監控代理程式。詳情請參閱 Apache Qpid Broker REST API 說明文件。
您也可以使用指令列工具來監控代理程式。例如:
curl "QPID_NODE_IP":"8090"/api/latest/broker -u "USERNAME":"PASSWORD"
Apache ZooKeeper
查看 ZooKeeper 狀態
- 確保 ZooKeeper 程序正在執行。ZooKeeper 將 PID 檔案寫入
opt/apigee/var/run/apigee-zookeeper/apigee-zookeeper.pid
。 - 測試 ZooKeeper 通訊埠,確保您可以在每個 ZooKeeper 伺服器上建立與通訊埠 2181 和 3888 的 TCP 連線。
- 確認您可以讀取 ZooKeeper 資料庫的值。使用 ZooKeeper 用戶端程式庫 (或
/opt/apigee/apigee-zookeeper/bin/zkCli.sh
) 進行連線,並從資料庫中讀取值。 - 查看狀態:
/opt/apigee/apigee-service/bin/apigee-service apigee-zookeeper status
使用 ZooKeeper 的四個字母
您可以透過一組使用 netcat (nc) 或 telnet 傳送至通訊埠 2181 的一組指令 (四個字母),監控 ZooKeeper。
如要進一步瞭解 ZooKeeper 指令,請參閱:Apache ZooKeeper 指令參考資料。
例如:
srvr
:列出伺服器的完整詳細資料。stat
:列出伺服器和已連線用戶端的簡短詳細資料。
下列指令可發出至 ZooKeeper 通訊埠:
- 執行四字母指令 ruok,測試伺服器是否在非錯誤狀態下執行。成功的回應會傳回「imok」。
echo ruok | nc host 2181
退貨:
imok
- 執行四個字母的指令
stat
,即可列出伺服器效能和已連線用戶端的統計資料:echo stat | nc host 2181
退貨:
Zookeeper version: 3.4.5-1392090, built on 09/30/2012 17:52 GMT Clients: /0:0:0:0:0:0:0:1:33467[0](queued=0,recved=1,sent=0) /192.168.124.201:42388[1](queued=0,recved=8433,sent=8433) /192.168.124.202:42185[1](queued=0,recved=1339,sent=1347) /192.168.124.204:39296[1](queued=0,recved=7688,sent=7692) Latency min/avg/max: 0/0/128 Received: 26144 Sent: 26160 Connections: 4 Outstanding: 0 Zxid: 0x2000002c2 Mode: follower Node count: 283
- 如果無法使用 netcat (nc),您可以改用 Python。建立名為
zookeeper.py
的檔案,其中含有以下內容:import time, socket, sys c = socket.socket(socket.AF_INET, socket.SOCK_STREAM) c.connect((sys.argv[1], 2181)) c.send(sys.argv[2]) time.sleep(0.1) print c.recv(512)
現在,執行以下 Python 行:
python zookeeper.py 192.168.124.201 ruok
python zookeeper.py 192.168.124.201 stat
LDAP 等級測試
您可以監控 OpenLDAP,查看特定要求是否正常提供。換句話說,請檢查會傳回正確結果的特定搜尋。
- 使用
ldapsearch
(yum install openldap-clients
) 來查詢系統管理員的項目。這個項目會用於驗證所有 API 呼叫。ldapsearch -b "uid=admin,ou=users,ou=global,dc=apigee,dc=com" -x -W -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -LLL
接著系統會提示您輸入 LDAP 管理員密碼:
Enter LDAP Password:
輸入密碼後,您會看到下列回應:
dn: uid=admin,ou=users,ou=global,dc=apigee,dc=com objectClass: organizationalPerson objectClass: person objectClass: inetOrgPerson objectClass: top uid: admin cn: admin sn: admin userPassword:: e1NTSEF9bS9xbS9RbVNXSFFtUWVsU1F0c3BGL3BQMkhObFp2eDFKUytmZVE9PQ= = mail: opdk@google.com
- 使用下列指令,確認 Management Server 是否仍與 LDAP 保持連線:
curl -u userEMail:password http://localhost:8080/v1/users/ADMIN
退貨:
{ "emailId" : ADMIN, "firstName" : "admin", "lastName" : "admin" }
您也可以監控 OpenLDAP 快取,進而減少磁碟存取次數,進而改善系統效能。在 OpenLDAP 伺服器中監控及調整快取大小,可能會對目錄伺服器的效能產生重大影響。您可以查看記錄檔 (opt/apigee/var/log
),取得快取相關資訊。